能否在YARP路由请求前获取指定JWT？

方案一：集成AccessTokenManagement配置YARP的HttpClient #

YARP可直接与AddAccessTokenManagement集成，通过配置代理HttpClient的AddClientAccessTokenHandler，实现自动获取并添加JWT到代理请求头，这是最贴合组件原生设计的方案。

配置示例：

// 注册AccessTokenManagement服务，配置客户端凭证信息
builder.Services.AddAccessTokenManagement(options =>
{
    options.Client.Clients.Add("TargetApiClient", new ClientCredentialsTokenRequest
    {
        Address = "https://your-identity-provider/token",
        ClientId = "your-client-id",
        ClientSecret = "your-client-secret",
        Scope = "target-api-scope"
    });
});

// 配置YARP反向代理，关联令牌处理Handler
builder.Services.AddReverseProxy()
    .LoadFromConfig(builder.Configuration.GetSection("ReverseProxy"))
    .ConfigureHttpClientForEndpoint("YourTargetEndpoint", client =>
    {
        client.BaseAddress = new Uri("https://target-api-domain.com");
    })
    .AddProxyHttpClientConfigurer((context, client) =>
    {
        // 为该代理客户端绑定自动获取JWT的Handler
        client.AddClientAccessTokenHandler("TargetApiClient");
    });

该方案会自动处理令牌的获取、缓存与过期刷新，无需额外自定义逻辑。

方案二：自定义请求转换（Transform） #

如果原生集成存在限制，或需要更灵活的令牌获取逻辑，可通过YARP的自定义Transform实现，在代理请求发送前手动获取JWT并添加到请求头。

实现示例：
首先注册自定义Transform：

builder.Services.AddReverseProxy()
    .LoadFromConfig(builder.Configuration.GetSection("ReverseProxy"))
    .AddTransforms<AddJwtRequestTransform>();

然后实现Transform类：

public class AddJwtRequestTransform : ITransformProvider
{
    private readonly IClientAccessTokenCache _tokenCache;
    private readonly ITokenClient _tokenClient;

    public AddJwtRequestTransform(IClientAccessTokenCache tokenCache, ITokenClient tokenClient)
    {
        _tokenCache = tokenCache;
        _tokenClient = tokenClient;
    }

    public void Apply(TransformBuilderContext context)
    {
        context.AddRequestTransform(async transformContext =>
        {
            // 优先从缓存取令牌，缓存过期或不存在则重新请求
            var tokenEntry = await _tokenCache.GetTokenAsync("TargetApiClient");
            string accessToken;

            if (tokenEntry == null || tokenEntry.ExpiresIn <= 60)
            {
                var tokenResponse = await _tokenClient.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest
                {
                    Address = "https://your-identity-provider/token",
                    ClientId = "your-client-id",
                    ClientSecret = "your-client-secret",
                    Scope = "target-api-scope"
                });

                accessToken = tokenResponse.AccessToken;
                await _tokenCache.SetTokenAsync("TargetApiClient", accessToken, tokenResponse.ExpiresIn);
            }
            else
            {
                accessToken = tokenEntry.AccessToken;
            }

            // 将JWT写入代理请求的Authorization头
            transformContext.ProxyRequest.Headers.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        });
    }
}

这种方式适合需要自定义缓存策略、添加额外校验逻辑的场景。

方案三：通过HttpClientFactory手动创建客户端（非反向代理常规场景） #

你提到的手动创建HttpClient的方式，更适合单独的API调用端点，而非YARP的全局反向代理流程。YARP本身会管理代理请求的HttpClient生命周期，手动创建的客户端无法与YARP的路由规则绑定，仅适用于特定端点的自定义请求处理，比如：

app.MapGet("/custom-call", async (IHttpClientFactory httpClientFactory) =>
{
    var client = httpClientFactory.CreateClient("CallBackWithJwt");
    var response = await client.GetAsync("https://target-api.com/endpoint");
    return await response.Content.ReadAsStringAsync();
});

如果是要实现全局反向代理自动添加JWT，不推荐此方式。

内容的提问来源于stack exchange，提问作者mslot